当前位置: 首页>>技术问答>>正文


在Ubuntu下,docker + ufw的最佳实践是什么?

ubuntuer 技术问答 , , , , 去评论

问题描述

我刚尝试了Docker。它真棒,但似乎与ufw不太合作。默认情况下,docker会稍微操纵iptables。结果不是错误,而是我所期望的。有关更多详细信息,请参阅The dangers of UFW + Docker

我的目标是建立一个像这样的系统

    Host (running ufw) -> docker container 1 - nginx (as a reverse proxy)
                       -> docker container 2 - node web 1
                       -> docker container 3 - node web 2
                       -> .......

我想通过ufw管理传入的流量(例如限制访问),因此我不希望docker触摸我的iptables。这是我的测试

环境:

  • 一个新安装的Ubuntu 14.04(内核:3.13.0-53)

  • Docker 1.6.2

  • ufw转发已启用。(Enable UFW forwarding)

  • --iptables=false已添加到Docker守护程序中。

第一次尝试

docker run --name ghost -v /home/xxxx/ghost_content:/var/lib/ghost -d ghost
docker run --name nginx -p 80:80 -v /home/xxxx/nginx_site_enable:/etc/nginx/conf.d:ro --link ghost:ghost -d nginx

没运气。第一个命令没问题,但第二个命令会抛出错误

Error response from daemon: Cannot start container

第二次尝试

然后我发现了这个:unable to link containers with –iptables=false #12701

运行以下命令后,一切看起来都正常。

sudo iptables -N DOCKER

但是,我注意到我无法在容器内建立任何出站连接。例如:

xxxxg@ubuntu:~$ sudo docker exec -t -i nginx /bin/bash
root@b0d33f22d3f4:/# ping 74.125.21.147
PING 74.125.21.147 (74.125.21.147): 56 data bytes
^C--- 74.125.21.147 ping statistics ---
35 packets transmitted, 0 packets received, 100% packet loss
root@b0d33f22d3f4:/# 

如果我从Docker守护程序中删除--iptables=false,那么容器的互联网连接将恢复正常,但是ufw将不能正常工作’properly'(根据我的定义……)。

那么,docker + ufw的最佳实践是什么?有谁可以提供一些帮助?

谢谢。

巴特。

最佳解决思路

几个月前我遇到过这样的问题,最近决定在我的博客上描述问题和解决方案。这是捷径。

使用--iptables=false对您描述的情况没有多大帮助。这里还不够。默认情况下,您的容器都不能执行任何传出连接。

在这里有一个小步骤,你想要在UFW后面放置容器。您可以使用--iptables=false或创建/etc/docker/daemon.json文件,内容如下

{
  "iptables": false
}

结果将是相同的,但后一个选项要求您使用service docker restart重新启动整个docker服务,或者如果docker有机会在禁用此功能之前添加iptables规则,则甚至重新启动。

完成后,再做两件事:

$ sed -i -e 's/DEFAULT_FORWARD_POLICY="DROP"/DEFAULT_FORWARD_POLICY="ACCEPT"/g' /etc/default/ufw
$ ufw reload

所以你在UFW中设置默认转发策略以进行接受,并使用:

$ iptables -t nat -A POSTROUTING ! -o docker0 -s 172.17.0.0/16 -j MASQUERADE

这样你所实现的是在你的iptables规则中禁用docker messy行为,同时docker提供了必要的路由,因此容器可以很好地完成传出连接。不过,UFW规则仍将受到限制。

希望这能为您解决问题以及任何在此寻找答案的问题。

我在https://www.mkubaczyk.com/2017/09/05/force-docker-not-bypass-ufw-rules-ubuntu-16-04/上更全面地描述了问题和解决方案

次佳解决思路

Problem

这个问题已存在很长时间了。

在Docker中禁用iptables会带来其他问题。

首先回滚更改

如果您根据我们在互联网上找到的当前解决方案修改了您的服务器,请首先回滚这些更改,包括:

  • 启用Docker的iptables功能。删除所有更改,如--iptables=false,包括配置文件/etc/docker/daemon.json

  • UFW的默认FORWARD规则更改回默认的DROP而不是ACCEPT

  • 在UFW配置文件/etc/ufw/after.rules中删除与Docker网络相关的规则。

  • 如果您已修改Docker配置文件,请先重新启动Docker。稍后我们将修改UFW配置,然后我们可以重新启动它。

解决UFW和Docker问题

此解决方案只需要修改一个UFW配置文件,所有Docker配置和选项仍然是默认设置。不需要禁用docker iptables函数。

修改UFW配置文件/etc/ufw/after.rules并在文件末尾添加以下规则:

# BEGIN UFW AND DOCKER
*filter
:ufw-user-forward - [0:0]
:DOCKER-USER - [0:0]
-A DOCKER-USER -j RETURN -s 10.0.0.0/8
-A DOCKER-USER -j RETURN -s 172.16.0.0/12
-A DOCKER-USER -j RETURN -s 192.168.0.0/16

-A DOCKER-USER -j ufw-user-forward

-A DOCKER-USER -j DROP -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -d 192.168.0.0/16
-A DOCKER-USER -j DROP -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -d 10.0.0.0/8
-A DOCKER-USER -j DROP -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -d 172.16.0.0/12
-A DOCKER-USER -j DROP -p udp -m udp --dport 0:32767 -d 192.168.0.0/16
-A DOCKER-USER -j DROP -p udp -m udp --dport 0:32767 -d 10.0.0.0/8
-A DOCKER-USER -j DROP -p udp -m udp --dport 0:32767 -d 172.16.0.0/12

-A DOCKER-USER -j RETURN
COMMIT
# END UFW AND DOCKER

更改文件后,使用命令sudo systemctl restart ufw重新启动UFW。现在公共网络无法访问任何已发布的docker端口,容器和专用网络可以定期互访,容器也可以从内部访问外部网络。

例如,如果要允许公共网络访问Docker容器提供的服务,则容器的服务端口为80。运行以下命令以允许公共网络访问此服务:

ufw route allow proto tcp from any to any port 80

此命令允许公共网络访问其容器端口为80的所有已发布端口。

注意:如果我们使用选项-p 8080:80发布端口,我们应该使用容器端口80,而不是主机端口8080

如果有多个容器的服务端口为80,但我们只希望外部网络访问特定容器。例如,如果容器的私有地址是172.17.0.2,请使用以下命令:

ufw route allow proto tcp from any to 172.17.0.2 port 80

如果服务的网络协议是UDP(例如,DNS服务),则可以使用以下命令允许外部网络访问所有已发布的DNS服务:

ufw route allow proto udp from any to any port 53

同样,如果仅用于特定容器,例如IP地址172.17.0.2:

ufw route allow proto udp from any to 172.17.0.2 port 53

这个怎么运作?

以下规则允许专用网络能够相互访问。通常,专用网络比公共网络更受信任。

-A DOCKER-USER -j RETURN -s 10.0.0.0/8
-A DOCKER-USER -j RETURN -s 172.16.0.0/12
-A DOCKER-USER -j RETURN -s 192.168.0.0/16

以下规则允许UFW管理是否允许公共网络访问Docker容器提供的服务。这样我们就可以在一个地方管理所有防火墙规则。

-A DOCKER-USER -j ufw-user-forward

以下规则阻止所有公共网络发起的连接请求,但允许内部网络访问外部网络。对于TCP协议,它阻止主动建立来自公共网络的TCP连接。对于UDP协议,阻止对小于32767的所有端口的访问。为什么这个港口?由于UDP协议是无状态的,因此不可能像TCP那样阻止发起连接请求的握手信号。对于GNU /Linux,我们可以在文件/proc/sys/net/ipv4/ip_local_port_range中找到本地端口范围。默认范围是32768 60999。从正在运行的容器访问UDP协议服务时,将从端口范围中随机选择一个本地端口,服务器将数据返回到此随机端口。因此,我们可以假设所有容器内的UDP协议的侦听端口小于32768.这就是我们不希望公共网络访问少于32768的UDP端口的原因。

-A DOCKER-USER -j DROP -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -d 192.168.0.0/16
-A DOCKER-USER -j DROP -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -d 10.0.0.0/8
-A DOCKER-USER -j DROP -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -d 172.16.0.0/12
-A DOCKER-USER -j DROP -p udp -m udp --dport 0:32767 -d 192.168.0.0/16
-A DOCKER-USER -j DROP -p udp -m udp --dport 0:32767 -d 10.0.0.0/8
-A DOCKER-USER -j DROP -p udp -m udp --dport 0:32767 -d 172.16.0.0/12

-A DOCKER-USER -j RETURN

More

https://github.com/chaifeng/ufw-docker

sudo wget -O /usr/local/bin/ufw-docker https://github.com/chaifeng/ufw-docker/raw/master/ufw-docker
chmod +x /usr/local/bin/ufw-docker

Usage

ufw-docker help
ufw-docker install
ufw-docker status
ufw-docker allow webapp
ufw-docker allow webapp 80
ufw-docker allow webapp 53/udp
ufw-docker list webapp
ufw-docker delete allow webapp 80/tcp
ufw-docker delete allow webapp

更新:2018-09-10

选择ufw-user-forward而非ufw-user-input的原因

使用ufw-user-input

优点:

易于使用和理解,支持旧版本的Ubuntu。

例如,要允许公众访问其容器端口为8080的已发布端口,请使用以下命令:

ufw allow 8080

缺点:

它不仅暴露容器的端口,还暴露主机的端口。

例如,如果主机上正在运行服务,则端口为8080。命令ufw allow 8080允许公共网络访问服务以及容器的端口为8080的所有已发布端口。但是我们只想公开在主机上运行的服务,或者只是在容器内运行的服务,而不是两者。

为避免此问题,我们可能需要对所有容器使用类似于以下的命令:

ufw allow proto tcp from any to 172.16.0.3 port 8080

使用ufw-user-forward

优点:

无法通过同一命令同时公开在主机和容器上运行的服务。

例如,如果我们要发布容器的端口8080,请使用以下命令:

ufw route allow 8080

公共网络可以访问其容器端口为8080的所有已发布端口。

但主机的端口8080仍未被公共网络访问。如果我们想这样做,请执行以下命令以允许公共访问主机上的端口:

ufw allow 8080

缺点:

不支持旧版本的Ubuntu,命令有点复杂。但是你可以使用我的脚本https://github.com/chaifeng/ufw-docker

结论

如果我们使用旧版本的Ubuntu,我们可以使用ufw-user-input链。但要小心避免暴露不应暴露的服务。

如果我们使用的是支持ufw route sub-command的更新版本的Ubuntu,我们最好使用ufw-user-forward链,并使用ufw route命令来管理容器的防火墙规则。


更新:2018年10月6日

脚本ufw-docker现在支持Docker Swarm。请参阅最新代码,https://github.com/chaifeng/ufw-docker

安装Docker Swarm模式

在Swarm模式下使用时,我们只能在管理器节点上使用此脚本来管理防火墙规则。

  • 修改所有节点上的所有after.rules文件,包括管理器和工作程序

  • 在管理器节点上部署此脚本

在Docker Swarm模式下运行,此脚本将添加全局服务ufw-docker-agent。图像chaifeng/ufw-docker-agent也是从该项目自动构建的。

参考资料

本文由Ubuntu问答整理, 博文地址: https://ubuntuqa.com/article/6915.html,未经允许,请勿转载。

相关文章